ทำไม VPN จึงเข้าร่วมเครือข่าย Wi-Fi ที่ไม่มีเซิร์ฟเวอร์ไม่ได้

คำขอมักมาในรูปของความหวังเดิม: ชี้ไคลเอนต์ไปที่เครือข่าย Wi-Fi แล้วจบลงข้างในนั้น อุโมงค์ไม่ได้ทำเช่นนั้น อุโมงค์เชื่อมไคลเอนต์กับสิ่งที่กำลังฟังอยู่แล้ว หากเครือข่ายเป้าหมายไม่มีอะไรที่ฟังสำหรับการเข้าถึงระยะไกล ก็ไม่มีอีกด้านหนึ่ง

อุโมงค์คือความสัมพันธ์ ไม่ใช่การตั้งค่า

ด้านหนึ่งฟัง อีกด้านเชื่อมต่อ และทั้งสองตกลงเรื่องโปรโตคอลและข้อมูลรับรอง ด้านที่ฟังจะต้องอยู่ภายในเครือข่ายที่คุณต้องการเข้าถึง ส่วนนั้นไม่สามารถประดิษฐ์ขึ้นจากไคลเอนต์ได้ โปรไฟล์ที่มีที่อยู่ถูกต้องแต่มีเครือข่ายผิดอยู่ข้างหลังให้ผลเป็นหมดเวลา ไม่ใช่การเข้าถึง

นี่คือเหตุผลที่คำตอบที่ซื่อสัตย์สำหรับบางคำถามคือ การเข้าถึงระยะไกลไม่มีอยู่สำหรับเครือข่ายนั้น การเพิ่มโปรโตคอล พอร์ต หรือไคลเอนต์อื่นไม่ได้สร้างปลายทางที่เจ้าของไม่เคยติดตั้ง

ข้อมูล Wi-Fi ไม่ใช่ข้อมูลรับรองของอุโมงค์

SSID ซับเน็ต เกตเวย์ และวลีรหัสผ่านเป็นข้อเท็จจริงเกี่ยวกับการอยู่ในอาคาร ไม่มีสิ่งใดยืนยันตัวคุณกับบริการที่อื่นบนอินเทอร์เน็ต เครือข่ายมหาวิทยาลัยและโรงแรมเผยแพร่ข้อมูลนั้นสำหรับแขกในอาคาร ไม่ใช่สำหรับไคลเอนต์บนอินเทอร์เน็ต

การคัดลอกซับเน็ตภายในลงในโปรไฟล์ VPN ทำให้เกิดความพยายามเข้าถึงที่อยู่ซึ่งกำหนดเส้นทางไม่ได้จากที่ที่คุณอยู่ ความพยายามล้มเหลวก่อนตรวจสอบข้อมูลรับรองใด ๆ นี่คือเหตุผลที่การเปลี่ยนชื่อผู้ใช้หรือวิธีการยืนยันตัวตนไม่เคยช่วย

หากองค์กรให้บริการการเข้าถึงระยะไกล เอกสารขององค์กรจะระบุปลายทางและวิธีการ ขอข้อเท็จจริงสองข้อนั้นโดยเฉพาะ เพราะมิฉะนั้นศูนย์ช่วยเหลือจะตอบคำถามที่ได้ยินเป็นประจำ นั่นคือคำถามเกี่ยวกับ Wi-Fi

ทางออกไม่ได้เลือกเครือข่ายต้นทางของคุณ

เซิร์ฟเวอร์บางตัวตอบเฉพาะไคลเอนต์ที่ที่อยู่ตกลงในช่วงหนึ่ง นั่นคือการตรวจสอบต้นทาง ทางออกเชิงพาณิชย์อยู่นอกช่วงนั้น การเชื่อมต่อจึงถูกปฏิเสธก่อนแลกเปลี่ยนข้อมูลแอปพลิเคชันใด ๆ การคำนวณไม่เปลี่ยนเมื่อคุณเลือกผู้ให้บริการรายอื่น เพราะที่อยู่ยังไม่ใช่ที่อยู่ที่เซิร์ฟเวอร์ต้องการ

เหลือสามทางเลือก และเพียงสามเท่านั้น หาปลายทางภายในช่วงที่อนุญาต ใช้โฮสต์กระโดดที่ได้รับอนุมัติซึ่งมีอยู่แล้ว หรือขอให้เจ้าของเปลี่ยนนโยบาย สิ่งอื่นทั้งหมดคือรูปแบบหนึ่งของการหวังว่าการตรวจสอบจะไม่ถูกบังคับใช้

อุโมงค์ภายในเข้ารหัสส่วนที่ผิด

เซิร์ฟเวอร์ที่ผูกกับอินเทอร์เฟซลูปแบ็กปกป้องทราฟฟิกระหว่างสองโปรเซสบนเครื่องเดียวกัน นอกเส้นทางลูปแบ็กนั้น แพ็กเก็ตออกจากโฮสต์เหมือนเดิมทุกประการ การป้องกันที่คุณต้องการสำหรับเครือข่ายไม่เคยมีอยู่ แม้ต้นทุนการประมวลผลจะเป็นจริง

การจัดวางนั้นมีการใช้ที่ชอบธรรม: การทดสอบไคลเอนต์ เส้นทาง หรือการกำหนดค่าก่อนนำไปใช้ ไม่ใช่มาตรการความเป็นส่วนตัวและไม่ใช่วิธีเข้าถึงเครือข่ายระยะไกล และการสับสนระหว่างสองสิ่งนี้นำไปสู่การกำหนดค่าที่สูญเปล่ามากมาย

สิ่งที่ทำงานได้จริงโดยไม่มีเซิร์ฟเวอร์

เมื่ออุปกรณ์ไม่มีเส้นทางขาเข้าที่เสถียร รูปแบบที่มีประโยชน์คือจุดนัดพบแทนการเชื่อมต่อโดยตรง รีเลย์ที่โฮสต์ภายนอก อุโมงค์ย้อนกลับจากอุปกรณ์ไปยังเซิร์ฟเวอร์เล็ก ๆ ที่คุณควบคุม หรือผู้ให้บริการที่เสนอการกำหนดที่อยู่ขาเข้า ล้วนวางสิ่งที่เข้าถึงได้ไว้ตรงกลาง การสมัครสมาชิก VPN สำหรับผู้บริโภคไม่ใช่สิ่งนั้น เพราะไม่ได้วางปลายทางใด ๆ ภายในเครือข่ายของคุณ

ssh -N -R 2222:localhost:22 [email protected]
ss -tlnp | grep 2222
nc -vz 198.51.100.7 2222

คำสั่งแรกเปิดอุโมงค์ย้อนกลับจากอุปกรณ์ไปยังรีเลย์ คำสั่งที่สองยืนยันตัวรับฟังภายใน และคำสั่งที่สามทดสอบเส้นทางจากภายนอก แทนที่ที่อยู่ในเอกสารด้วยรีเลย์ของคุณเองและยืนยันทิศทางอย่างชัดเจน เพราะการเชื่อมต่อขาออกมักสำเร็จผ่านการแปลงที่อยู่ ในขณะที่การเชื่อมต่อขาเข้าที่ไม่ได้ร้องขอไม่เคยมาถึง

หากเป้าหมายเป็นเพียงการเข้าถึงบริการที่มีอยู่แล้วบนเครือข่ายที่คุณควบคุม ให้วางไคลเอนต์บนอุปกรณ์ที่ต้องการมัน การแชร์อุโมงค์จากแล็ปท็อปเป็นโครงการกำหนดเส้นทางและการแปลงที่มีโหมดล้มเหลวของตัวเอง และไคลเอนต์ที่จัดการมักจะบล็อกมัน